第一節 研究動機與研究目的 壹、研究動機

第一章 緒論

本文旨在探討我國中小學階段學生個人資料保護議題。首先，本 文提出個資保護之權利基礎及法制規範，接下來說明美國「家庭教育 權利和隱私法」(Family Educational Rights and Privacy Act，以下簡稱 FERPA)規制及案例，並藉個人資料保護原則及美國 FERPA 規制，以 檢視我國現行學生個人資料保護制度與規範，並據以提出檢討與建議。

本章共分為四個部分，將針對筆者研究此議題之研究動機及研究 目的，據以提出待答問題；另外透過文獻分析，了解現今我國學生個 人資料保護研究之現況，接下來說明研究方法及研究限制，再對本文 所用之專有名詞進行解釋，並於本章結尾說明研究架構。

第一節 研究動機與研究目的 壹、研究動機

隨著科技發達與電腦、網路之使用，使得存放於電腦的個人資料 外洩情況頻傳，致使大眾對於個人資料保護議題不得不加以正視。其 中針對學生個人資料保護問題，亦因補習班業者以不當手段取得學生 個人資料，並進行招生電話騷擾等行為，而成為矚目的焦點。更有甚 者成為詐騙集團對家長進行「假綁架真勒索」的工具，使得我們在享 受資訊科技帶來便利的同時，亦得正視資訊科技所帶來的危機。

2006 年底，高雄地區學生家長密集接到詐騙集團電話，佯稱自己

是孩子學校的導師，表示孩子沒到學校，之後再以歹徒身分打電話告

訴家長孩子已遭綁架，要求匯款贖人。一般民眾大致上了解這些電話

屬於詐騙手法，但可怕的是，歹徒向家長恐嚇時不但能清楚說出孩子

的姓名及班級，甚至連班導師的名字都知道，故有家長懷疑學校可能

將學生資料外洩。對此，主管機關教育局表示，相同的詐騙手法，也 在高雄市、台南縣市等地學校陸續發生，在高雄市一所國中，同一天 就有 50 位家長接到歹徒的詐騙電話，警方累計的報案量有上百件之 多。但教育局也同時說明，各級學校的校方均會嚴格控管學生的學籍 資料

。

無獨有偶，日前曾入侵總統府網站之蘇姓網路駭客，被黑幫吸收 後復出犯案，利用學術網路頻寬大、學生較不易被懷疑的特性，運用 交大宿舍網路，架設伺服器為攻擊跳板，入侵中華電信、無名小站與 桃園縣部分國中學籍資料庫，再將資料存放於國外主機逃避追查，非 法取得上千萬筆資料販售圖利；其中桃園縣 19 所國中學生的個人資料 以 17 萬元的代價賣給補習班

。以上類似學生 E 化

之個人資料外洩案 件屢見不鮮

，學生個人資料保護與個人資訊隱私權的伸張，遂引起筆 者之重視。

筆者任教於國中，本職為公民老師，但因修習資訊工程之學分，

亦擁有電腦科之教師證。因緣際會擔任資訊組長一職近三年，期間亦 擔任縣網管委員會委員一職，乃對於校務行政數位化以及控管學生個

1 參閱 http://www.epochtimes.com/b5/6/11/1/n1505425.htm，〈詐騙電話伸向校園 疑學籍資料外洩〉， 大紀元網系，檢索日期：2007 年 9 月 26 日。

2 該生亦曾於國中時即曾入侵基測中心網站竊走五十萬筆國中考生成績單，販賣給補習班業者，唸 建中時，又四度侵入大考中心，竊走一百五十萬筆考生資料，同樣是賣給補習班，而最近一次遭逮 捕則是竊取上千萬筆網路個人資料。參閱中國時報 2007 年 9 月 22 日 A10 版〈天才駭客蘇柏榕 替 黑幫盜資料〉。

3 所謂 E 化，就是電子化、數位化的意思。大部分學校自有電腦以來，就不斷推行校務電腦化，加 上網際網路的發展，早已陸續朝向校園資訊化、 E 化。參閱李呈奇，《大學推動校園 e 化之探討》，

國立中山大學人力資源管理研究所碩士論文，未出版，2002 年，頁 3。

4 參閱 http://www.libertytimes.com.tw/2004/new/apr/30/today-so3.htm ，〈學生資料 近百萬筆外洩〉，

自由新聞網，檢索日期：2007 年 9 月 26 日；

http://intermargins.net/Forum/2001%20July-Dec/privacy/newtec/nt20.htm，〈學生資料ｅ化 教師擔心外 洩〉，國際邊緣網站，檢索日期：2007 年 9 月 26 日；

http://www.epochtimes.com/b5/6/12/6/n1547276.htm，〈騙得家長心焦焦 學生資料外洩歹徒騙騙騙〉， 大紀元網系，檢索日期：2007 年 9 月 26 日；而在香港，亦發生因網管疏失，將學生個人資料放在 網頁上供人隨意瀏覽並下載，參閱 http://paper.wenweipo.com/2007/03/08/HK0703080041.htm ，〈教 院 200 學生資料外洩〉，香港文匯報網站，檢索日期：2007 年 9 月 26 日。

人資料的學務系統有更深的認識，也因此得知學生 E 化後的個人資料 保護是相當脆弱的，而其脆弱之源，肇因於使用與控管的「人」，其中 又以學校教育人員需負相當大的責任。是故，乃欲以學生個人資料保 護為題進行研究。

另於研究所進修期間，許多課程探討人權保障議題，除學生權利 保障與師生關係外，對受教權、懲戒權等時下熱門議題亦多所著墨。

但學生權利並不僅止於受教權，師生關係亦不僅是管教、懲戒之適法 問題；隨師生之間特別權利義務關係的解構，學生對於新興個人權利 如隱私權等，有不同以往的認知。是故，包括搜書包、查看信件(電子 郵件、加密留言)、公佈個人資料等侵害隱私權的行為，已然造成緊張 的師生關係。故學校能否積極維護學生個人資料亦是筆者關心之所在。

承上所言，本文期望透過學生個人資料個護之權利基礎與實務上 學校制度規範的運作，以期引發教育界對本議題之重視，更期盼教師 能更注重實體、虛擬的資訊安全環境，以保障學生的個人權益。

貳、研究目的

基於上述之研究動機，本文之目的列述於下：

一、瞭解個人資料之定義及其受保護之目的。

二、瞭解個人資料保護之原則與權利基礎。

三、瞭解我國個人資料保護之法制規範。

四、透過美國保護學生個人資料專法 FERPA 之介紹、判例及修法動 態，提供我國學生個人資料保護規制之參考。

五、瞭解我國中小學處理學生個人資料之制度及主要規範及個資 受侵害態樣。

六、以個人資料保護原則檢視我國中小學 E 化後學生個人資料之

制度規範。

七、以美國 FERPA 規制檢視我國中小學 E 化後學生個人資料之制度 規範。

八、提出我國中小學學生個人資料保護之檢討與建議。

第二節 問題提出與文獻分析 壹、問題提出

為達成研究目的，整理本文的待答問題如下：

一、個人資料的概念及其定義為何?為何需要受到保護?

二、個人資料保護所遵循之保護原則有哪些?其權利基礎為何??

三、我國個人資料保護之法制規範為何?

四、美國 FERPA 法案之規制為何?對我國學生個資保護有何啟示?

五、目前我國中小學學生個資之制度有哪些?侵害之態樣為何?

六、透過個人資料保護原則之檢視，我國中小學學生個人資料保護規 範符合程度為何?

七、透過美國 FERPA 法案規制之檢視，我國中小學學生個人資料保護 規範符合程度為何?

貳、文獻分析

為了解學生個人資料保護之研究現況，筆者乃積極探求過去學者 之研究及相關文獻，經引用者乃隨文頁下附註。關於個人資料保護所 依之人性尊嚴、資訊自決權、隱私權等基礎，多參閱我國憲法學者吳 庚、李震山、王澤鑑、李惠宗等教授之專書著作，為本文探討個人資 料保護權利之基石。另外，針對學生之個人資料保護或隱私權保護，

我國並沒有相關之著作，僅有許文義教授之專書《個人資料保護法

論》 ，乃就個人資料保護法中當事人權利、個資保護原則加以論述，並

引進德國相關法規及理論，由於論述相當完整且具參考價值為本文之

重要參考。

期刊部分，本文則試以「個人資料保護」為檢索條件搜尋，2000 年起相關之著作有 46 篇

，大部分與網路上之個人資料保護有關，與學 生個人資料保護有直接論述者則無，僅邱紹一教授對青少年隱私權有 進行介紹性質之文章，但個人資料保護亦僅為其中之一部分。故就期 刊部分而言，並無實際可用本文主要議題探討者，但與本文權利基礎 及法制規範有關者仍予以引用。另外，考量個人資料保護與學生權利 有關，以「學生人權」及「學生權利」為進行期刊之檢索，相關之著 作則各有 11 篇，惟其中多廣泛探討何謂學生權利或與輔導管教相關，

故本文對學生個人資料保護之引述仍以 FERPA 相關外文資料為主。

我國法制規範部分，有關憲法之論述多參閱我國上述憲法學者之 著作，並加上歷次大法官對於資訊自決權及隱私權之說明，以形成個 人資料保護憲法層次保障之基礎。法規部分主要為「電腦處理個人資 料保護法」(下文簡稱為「電資法」)，該法作為我國個人資料保護之重 要規範，其中有關資訊管理者使用電腦蒐集、處理及利用個人資料規 定中所涵涉之個人資料保護原則，為本文檢視目前中小學處理學生個 資相關辦法準則之標準。而近年來對於「電資法」修法改革聲浪不斷，

我國亦就條文進行草案修正，本文則引用行政院草案版本作為說明，

而其修法及草案說明則主要引用法務部政府出版品之資料。另外，網 路上有關「電資法」之立法動態及報導，利於本文掌握立法院即時之 修法進度亦為本文引用。而網路上有關資通安全等報導，有相當部分 符合需求，可作為本文對於個資侵害頻繁之佐證，乃加以引用並註明 原始網址。

5 參閱 http://readopac1.ncl.edu.tw/ncl3/index.jsp，期刊篇目索引系統，檢索日期 2008 年 10 月 22 日。

而本文對 FERPA 法制規範之介紹，除美國聯邦條例法典(Code of Federal Regulations,CFR)

外，並引用美國教育部

最新之宣導資料及其 所釋出之建議補充規定(Proposed Rules)及釋疑，其中建議補充規定部 分係為解決 FERPA 自 1974 年立法後對於內容上產生疑義之說明及新 解，為本文介紹 FERPA 法案的重要參考；判例部分主要參考有關近年 上訴至聯邦最高法院之判例，或者與本文探討議題有密切相關之判決 為主，並由美國各大法學資料庫

之資料為準加以論述。上述對於 FERPA 之研究我國有相關討論但無詳細中文資料供參，故本文多採第 一手資料經整理後予以引用。

我國論文部分，經檢索 2000 年起之碩博士論文，以「隱私權」為 題之碩博士論文共計有 70 篇，而以「隱私權」為關鍵字之碩博士論文 則達 161 篇；另外以「資訊自決權」為題之碩博士論文共計有 3 篇，

而以「資訊自決權」為關鍵字者為 14 篇；以「個人資料保護」為題之 碩博士論文共有 13 篇，以「個人資料保護」為關鍵字者有 54 篇

。

從檢索之資料可發現，個人資料保護及其權利基礎之資訊自決 權、隱私權為題之研究相當多，但多數論文為因應資訊科技之發展，

主要研究個人資料保護的意義與重要性，若以議題而言，又以電子商 務方面之研究為最。僅少數與本文研究之學生個人資料保護議題相 關，經整理如表 1-2-1：

6 See http://www.gpoaccess.gov/CFR/, Code of Federal Regulations (CFR)

7 See http://www.ed.gov/, U.S. Department of Education.

8 See http://www.findlaw.com/casecode/ ,FindLaw; http://www.westlaw.com,Westlaw.

9 參閱 http://etds.ncl.edu.tw/theabs/site/sh/search_result.jsp，全國博碩士論文資訊網，檢索日期 2008 年 10 月 22 日。

表 1-2-1

研究者 論 文 題 目 年度

張裕榮 論資訊公開與個人資料保護之界線~以少年非行資料 為中心

89 李松婷 國小兒童隱私概念之研究 90 賴靜儀 從資訊自決權論學生資料保護 94 游宏德 桃園縣國民中學校園監視錄影系統之相關研究 95 王明偉 學生隱私權之研究—以國民中學學生隱私權為中心 95

趙翊伶 校園隱私權保障之方案—以一所公立高中之發展經 驗為例

95

資料來源：作者自行整理

由表 1-2-1 視之，就比例上來看，少有學者針對未成年人之隱私權 部分進行專文研究，其中雖然有提及學生之個人資料保護部分且以個 人資料保護為議題者，因範圍之限縮，進行相關研究者更是少數，僅 有張裕榮、賴靜儀研究 2 篇，其中以賴靜儀論文以台北市、高雄市、

台北縣國中學生資料保護之規定加以分析並探討學生資料管理之爭議 及缺失，並透過晤談以瞭解學生資料管理的現況較與本文相關。惟其 文中較少探討到校務 E 化後之影響，本文恰可為之補充；另外，其他 相關論文對於學生個人資料保護之權利基礎、法制規範部分則予以參 酌運用。

綜上所述，隨資訊科技之進步，個人資料已成為商業運用之要角，

甚至為犯罪者之工具。學生個人資料實為教育第一線工作者所需注 意，並積極維護的學生權利內涵之一。經文獻分析後，無論是專書、

期刊、論文甚至是網站資料，皆可發現我國針對國中小學生個人資料

保護研究之不足，其原因可能為以往教育界較不重視學生的隱私，且

缺乏測量隱私偏好的工具

，甚至部分教師僅僅視學生個人資料為教育 行政有效運作之基本條件使然。故本文乃以學生個人資料保護為題，

拋磚引玉，以期未來學者對國內學生個人資料保護投注更大的心力。

10 參閱邱紹一，〈人權教育-維護青少年隱私權之初探〉，《學生事務》，第 43 卷，第 4 期，2004 年，

頁 26。

第三節 研究方法與研究限制 壹、研究方法

本文為達上述研究目的，採取文獻方析法及比較法進行研究。國 內外有關個人資料保護學理及法制之文獻非常多，故筆者蒐集並閱讀 近年來相關之書籍、論文、期刊、法條與近期報章、網路等文章，經 由整理、歸納與分析，以澄清個人資料之定義並探討個人資料保護之 概念、原則與具體內容，另根據其中個人資料保護原則來檢視我國學 生個人資料保護之重要法令規範，並輔以美國 FERPA 法案來檢視我國 現行學生個人資料保護之重要法令規範，期能據以提出個人的研究心 得及觀點，並對現行作法提出檢討與建議。

貳、研究限制

本文力求完善，但基於主、客觀因素，仍有部分限制如下：

一、就文獻資料而言

本文雖盡力透過圖書館系統、網路網路進行搜尋，發現我國學生 個人資料保護之研究內容並不多見，大部分文獻內容探討之對象以成 人為主或與商業有關。本文為求詳盡，仍引用大量電子商務中個人資 料保護之文獻，惟採其原則意旨，作法部分則略而不提。另外，本文 參考之國外文獻及法案內容以美國為主，雖然參考價值極高，但因法 制不同，對於案例上之比較分析上比較困難，僅能在不違背我國「電 資法」(或未來「個人資料保護法」)下，取其內涵及具體作法作為檢視 我國現實學生個人資料保護之現況。

二、就研究之對象而言

從學校教育至社會教育之就學者皆可稱之為「學生」 ，惟本文係以

「國中小學學生」為對象，其年齡多介為 7 歲至 15 歲，在法律上屬未

成年人，因部分權利仍需由法定代理人行使之故，部分本文對於學生 個人資料保護之說明，僅限於中小學學生階段，與已成年者為適用對 象不同。

三、就研究工具而言

本文以文獻探討及比較法為主，以探求個人資料保護之概念原則 及權利基礎，再合以目前中小學 E 化之議題進行研究，礙於人力、時 間不足，未進一步實施量化研究，為研究法之不足。

四、就研究時間而言

本文研究之時間點，適逢「電資法」修法階段，故以行政院版之

修正草案為準進行相關之研究，但仍有可能影響本文對個人資料保護

之適法性。

第四節 名詞釋義與研究架構 壹、名詞釋義

為使本文指涉之相關名詞有明確之概念，茲予以定義分述如下：

一、個人資料

本文所稱「個人資料」為依法例示或概括認定，各種可識別及足 資識別個人靜態資料、動態資訊者。

二、學生個人資料

本文所稱「學生個人資料」為學生因就學需要，由學校蒐集並進 行資料處理、利用之相關教育紀錄，含學籍資料、成績資料、輔導資 料、缺曠課紀錄、獎懲紀錄及其他足資識別該個人之資料，其中各項 資料多數皆已電子化。

三、教育人員

本文所稱「教育人員」含公私立學校編制內，按月支給待遇，依 法取得教師資格之專任教師及其他於學校進行學生個人資料處理、利 用之人員(包含代理教師、實習教師、學校行政人員等)。

貳、研究架構

本文計為七章，除了第一章為緒論及第七章為結論與建議外，必 須對個人資料之定義及保護之意義作詳細的說明，因此第二章開始，

根據所蒐集之文獻資料說明個人資料之定義並陳述個人資料保護的相

關概念；接下來藉由各種學說、理論介紹國際間已然成形的個人資料

保護原則通說，並說明個人資料保護之權利基礎。第三章則說明根據

權利基礎形成之法制規範，首先從憲法條文之擴張適用及第二十二條

導出個人資料保護的基礎，並從大法官釋憲中的說明穩固個人資料保

護在憲法上的地位；接下來說明我國對個人資料保護之專法「電資法」

的立法內容及修法方向，以建立實務問題的解決之道，並透過各式相 關法條來加強個人資料保護的說明。第四章透過美國 FERPA 法案之主 要意涵、學生及家長權利以及重要判例，對美國保護學生個人資料之 規定作說明，並提出對我國學生個資保護的啟示。第五章則說明中小 學對於學生個人資料保護的制度規範及校務 E 化的現狀，討論學生個 人資料可能遭受侵害的態樣與影響，第六章則以個人資料保護原則及 美國 FERPA 法案規制，檢視我國現行學生個人資料保護規範並提出檢 討。最後在第七章提出結論與建議，總結各章研究心得與論點並提出 建議，以作為我國教育立法之參考。就此，擬定本文架構如圖 1-4-1。

個人資料保護的概念 權利基礎

法制規範

美國 FERPA 法案之探討

個人資料保護原則

我國現行中小學制度之檢視 電資法及 相關法律

憲法

現行中小學 相關辦法 FERPA 規制

不當侵害之態樣 E 化之挑戰

結論與建議

美國 我國

圖 1-4-1 研究架構圖

第二章 個人資料保護及其權利基礎

吾人對於個人資料遭政府機關或民間企業予以利用甚至出賣，越 來越感到危險與不安；是故，了解個人資料保護的概念，在現今資訊 爆炸的時代益顯重要。然而，個人資料為政府行政作為、企業商業行 為之基礎，完全限制個人資料之取得，似乎不可能，如何確保權利主 體對個人資料之權利有所認知，受前述機關侵害之前能有所查覺，以 及受侵害時如何請求救濟等為本文所欲探討之重要課題。為求詳盡，

以下就個人資料保護之相關概念為始，並以其權利基礎部分加以說明。

第一節 個人資料保護之相關概念 壹、個人資料之定義

一、資訊與資料

資訊(Information)與資料(Data)到底有何差別？以資訊管理

(Information Management)的角度來看，資訊一詞為抽象概念，泛指任何 現在或未來能讓人或其他生物感官察覺的事實或想法，由具體資料轉 化而來，一般具有傳送者與接收者；而資料則為具體的數字、文字、

圖畫等，以定量來顯示事實，為客觀的紀錄

。而資料與資訊兩者無論 其本體為何，皆可轉換為 0 與 1 貳進位數值形式之結合於電腦中處理。

以知識管理(Knowledge Management)觀點來看資料與資訊的概 念，學者 Stephen Abram 指出，資料(或稱為數據)為未經加工的事實 (Raw facts)，而資訊則為組織化且明確呈現的資料(Organized

data ,Tangible representation of data)

。

11 參閱陳鴻基、嚴紀中，《管理資訊系統：理論、科技、實務與應用》，台北：雙葉書廊，2004 年，

頁 49。

12 Stephen Abram (1997) , Post information age positioning for special librarians : Is knowledge management the answer? , Information Outlook , Vol.1 No.6 , pp.20-21.

學者 Trotter Hardy 則指出，資料為呈現或表現觀念或事實的有 形素材，包括實體(如紙張、圖畫)本身以及實體上之文字、圖畫或符 號等；而資訊則是觀念或事實的傳達過程，簡言之，資料為傳達之內 容，資訊則為其過程。傳統的資料，如文字、圖畫等記載於紙張等實 體，由於屬於具備長、寬、高與持久性之實有個體，所以被認為有實 體性；因此，在語言使用上，資訊是抽象層次的概念，故不能以資訊 與具體的實物相類比

。例如問卷調查的程序而言，問卷的文字編擬及 填答前後之問卷為資料，將填答的內容加以統計、歸納、分析之過程 並據以描繪與問卷主題相關者，即可稱之為資訊。

二、個人資訊與個人資料

資料與資訊在資訊管理、知識經濟等學門有不同的定義，作為法 律保護個人資料的實質內容中，學者則有不同看法。我國學者許文義 認為資料與資訊之概念為相對的，資料為靜態、未經處理之存在或紀 錄；資訊則為屬於基於特定目的，對資料加以整理、建檔，在性質上 屬於主觀且已經過處理歸類。以資料保護而言，其要旨為個人資料受 侵害之虞或之前，政府機關即有保護之義務，因此在資料尚未成為公 開之標的(成為資訊)前，即予以保障，可使當事人之保障更加周全

。

相較於上述看法，另外也有學者表示個人資料、個人資訊在立法 上通用

，而學者李震山引用德國學者之論述認為得以自決之資訊即為 個人資訊，而該個人資訊與個人資料並無區分之必要

。

本文認為，在今日電腦網路發達條件下，資料與資訊皆為保障人 性尊嚴及自主、自決權利所導出之保護標的，將其切割已無多大意義。

13 Trotter Hardy (2001), Not so Different: Tangible, Intangible, Digital, and Analog Works and their Comparison for Copyright Purposes, 26 Dayton Law Review, pp.229-232.

14 參閱許文義，《個人資料保護法論》，台北：三民，2001 年，頁 21。

15 參閱劉寶源、劉小春，〈論個人信息的法律內涵〉，《韓山師範學院學報》，第 23 卷，第 6 期，2008 年，頁 89-92；其「個人信息」之表示即為本文之「個人資訊」。

16 參閱李震山，《人性尊嚴與人權保障》，台北：元照，2000 年，頁 278。

其理由一為多數靜態資料在經資料庫予以分類、歸納乃至於為利用而 選擇、輸出之動態程序中，紀錄同時已具有資訊與資料之性質；二則 國際組織及各國資訊立法用語之中，雖有稱個人資料(如 OECD

、英國、

我國等)、個人資訊 (APEC

、日本

)、資料私隱 (香港)、個人信息(大 陸)等不同，惟其保護標的之定義並無太大的不同，且皆為保障人格上 之法益，故本文認為以個人資料一詞，來涵蓋有關個人資訊之範疇，

並無不妥

。有關於個人資料之定義經筆者整理如表 2-1-1：

表 2-1-1 OECD「管理保護個人隱私權及

跨 國 界 流 通 個 人 資 料 指 導 綱 領」(1980)

個人資料意指任何關於可識別個人或足 以資識別該個人之資料項目。

APEC「隱私保護綱領」(2004) 個人資訊意指任何關於可識別個人或足

資識別該個人之資訊。

國 際 組 織 規

範 歐 盟 「 個 人 資 料 保 護 指 令 」

21

(1995)

已識別或足資識別自然人的任何資料，如 身分證字號或其他個人物理、生理、心 理、經濟、文化或社會活動特徵等。

德國「聯邦資料保護法」

(2003 修正)

涉及特定或可得特定自然人之所有屬人 或屬事之個別資料。

各 國 規

範 日本「個人情報保護法」

(2005 修正)

有關生存個人之資訊，藉由包含於該當資 訊中之姓名、出生年月日，及其他記述等 得以識別出特定個人者，包含容易藉由與 其他資訊對照結合而識別出特定個人者 在內。

資料來源：研究者自行整理

17 Organization of Economic Cooperation and Development，我國譯為「經濟合作發展組織」。

18 Asia-Pacific Economic Cooperation，我國譯為「亞太經濟合作會議」。

19 參閱 http://www5.cao.go.jp/seikatsu/kojin/foreign/act.pdf ，法案名為「個人情報保護法」，惟其官 方英譯為 Act on the Protection of Personal Information，故仍歸為「個人資訊」一詞。

20OECD 官方原文”Personal Data”及 APEC 官方原文”Personal Information”對個人資料之定義基本上 並無不同，亦可證明筆者觀點，請參閱表 2-1-1。

21 參閱 http://www.spamlaws.com/f/docs/95-46-ec.pdf，歐盟《個人資料保護指令》英文版，SPAM LAWS，檢索日期 2007 年 11 月 29 日。

22 參閱 http://www.datenschutz-berlin.de/recht/de/bdsg/bdsg01_eng.htm#sec2，德國《聯邦資料保護法》

英文版，datenschutz-berlin，檢索日期 2007 年 11 月 29 日。

23 參閱 http://law.e-gov.go.jp/htmldata/H15/H15HO057.html，日本《個人情報保護法》，法令データ 提供システム，檢索日期 2007 年 11 月 29 日

由表 2-1-1 觀之，個人資料之定義，不管採概括、例示說明或兩者 兼俱者，多遵循 OECD「管理保護個人隱私權及跨國界流通個人資料 指導綱領」

的定義，即「凡任何可以識別出個人或足資識別該個人之 資料」者為「個人資料」 ，而各國於制訂國內法時多加以解釋補充。如 德國「聯邦資料保護法」中「涉及特定或可得特定自然人之所有屬人 或屬事之個別資料」雖未例示說明，但明確指出保護之權利主體為自 然人，客體為人或事之資料；日本「個人情報保護法」中則指出保護 之主體為「生存之個人」，客體並延伸至「在對照後而能識別出特定個 人者」，皆可稱為「個人資料」。我國「電資法」第 3 條則對於個人資 料定義為例示之內容及其他足資識別該個人之資料。

綜上所述，本文將個人資料定義為「凡依法例示或概括認定，各 種可識別或足資識別個人靜態資料、動態資訊者。」依法例示者，目 的在於以法為本，條文既明白列出，本屬受保護之範圍；概括認定者，

雖不符合法律明確性原則，惟保留法官認定上之彈性，得隨資訊科技 時代演進，擴大列為保障之範圍

。

貳、個人資料保護的目的

一、為因應電腦網路科技發展需要

在資訊社會中，政府或民間企業各種處理資料的能力隨電腦、網 路的技術進步，個人資料 E 化的利用已無可避免，且為政府公務運作 與民間商業活動之必需品。E 化資料擁有取得容易、數據大量、處理快 速等特性，非人工處理時期可比擬，也因為此特性，致使在實務上應

24 See http://www.oecd.org/document/18/0,3343,en_2649_34255_1815186_1_1_1_1,00.html , Guidelines Governing the Protection of Privacy and Trasborder Flow of Personal Data , accessed on 2007/11/10.相關書籍亦有譯為「有關個人資料之國際流通及隱私權保護準則」、「隱私權保障及個人 資料跨國境流通指導綱領」等，本文統一採用學者周悅儀之譯名，詳參氏著，〈美國保護隱私權法 制之研究〉，《法律事務司八十二年度研究發展報告》，台北：法務部，1993 年，頁 163。

25 如寬頻房訊於網站中的法拍屋資訊中，揭露房屋外觀，配合法院所公布的法拍屋資訊，供付費 會員使用，即遭承審法官以「房屋外觀照片」結合法院個人資料可以辨識出屋主為由，判決違反個 資法。參閱台灣板橋地方法院刑事判決 93 年度易字第 77 號、台灣高等法院刑事判決 93 年度上易 字第 1896 號。

依合理程序取得之 E 化個人資料，常因政府機關及民間企業便宜行事、

內神通外鬼或是網站遭受駭客入侵、社交工程

、網站隱私權政策模糊 等因素，讓吾人對於個人資料有效控制與支配力不足，甚至無力干涉。

為解決上述問題，有賴政府立法說明遊戲規則，就保障人民權益觀點，

對蒐集、利用個人資料之需求者，賦以相當之限制與義務。

二、為保障個人基本權利不受侵害

個人資料為個人所擁有並具有權利保護客體之地位，而資訊科技 讓個人資料受到威脅的可能性大增，亦讓個人資料保護有關的人性尊 嚴自治、自決理念及資訊自決權、隱私權等權利受到挑戰。各國無不 就人性尊嚴等權利基礎，針對個人資料保護之特殊性(權利範圍廣)及 侵害行為的多樣性(蒐集、使用、比對、儲存等)進行法制上之規劃

。 如我國「電資法」第 1 條即言明「為規範電腦處理個人資料，以避免 人格權受侵害，並促進個人資料之合理利用，特制定本法。」簡言之，

隨電腦之發展，立法者乃欲宣示者，為資訊時代資料快速且便於處理 的狀態下，應「避免人格權受侵害」；又如日本「個人情報保護法」第 1 條說明「有鑑於伴隨著高度資訊通信社會之發展，個人資訊之利用顯 著增加…，於保障個人之權利、利益不受不當侵害下，對個人資訊得 加以利用。」意同此理。

三、為促進個人資料得以合理使用

個人資料因受侵害者眾，難免對於法律有關限制政府、民間企業 使用個人資料之規範投以較大的注意力，但個人資料雖為個人所有，

26 社交工程(Social Engineering)，是一種利用人性弱點的詐騙技術。以影響力或說服力來欺騙他人 以獲得有用的資訊，如電子郵件隱藏電腦病毒、網路釣魚、偽裝修補程式等方式騙取個人資料。這 是近年來造成企業或個人極大威脅和損失的手法。參閱

http://www.i-security.tw/topic/topic_sg.asp?id=26，〈中小型企業客製化資安維護系列專輯之四- 社交 工程〉，NII 產業發展協進會 I-SECURITY 網站，檢索日期：2007 年 12 月 2 日。

27 參閱法治斌研究主持，《政府行政作為與隱私權保障之探討》，台北：行政院研究發展考核委員 會，2007 年，頁 12。

但個人必然與社會產生關係，故個人資料並非不能為他人所使用，而 在於取得本人之同意及不受不當侵害的前提下得以合理使用。如我國

「電資法」第 1 條「…以避免人格權受侵害，促進個人資料之合理利 用」及日本「個人情報保護法」第 1 條「…於保障個人之權利、利益 不受不當侵害下，對個人資訊得加以利用。」 ，意即說明立法者之目的 除消極避免個人權利受不當侵害外，仍可對個人資訊加以「善用」。

綜上所述，個人資料保護的目的，乃因應資訊科技之急速發展，

一方面站在當事人之人性尊嚴上，避免人格權遭受政府或其他自然 人、法人之侵害；另一方面個人資料受到良善保護後，才得以基於個 人擁有個人資料之「控制權」而予以「善用」。故體現在法制上，所有 關於當事人個人資料之蒐集、處理與利用，應善盡個人資料保護原則，

並以書面徵求同意，不得逾越特定目的之範圍，而當事人對於被蒐集、

處理與利用之個人資料，可行使查詢、請求閱覽、請求製給複製本、

請求補充或更正、請求停止電腦處理及利用及請求刪除權

。簡言之，

個人資料保護為避免人格權受侵害，並基於個人自由、自律與自決的 前提下，擁有對於個人資料之控制權；當事人並得積極請求公權力對 於各種可識別或足資識別個人的資料予以保護，以促進個人資料之合 理利用。

參、個人資料保護之具體內容

就我國「電資法」第 3 條第 1 款之規定，乃採例示與概括規定並 用，凡為自然人之姓名、出生年月日、身分證字號、特徵、指紋、婚 姻、家庭、教育、職業、健康、病歷、財務情況、社會活動等足資識 別該個人之資料，皆為個人資料之範圍；而為擴大保護個人資料的範 圍，於修正草案中例示部分另行加入護照號碼、醫療、基因、性生活、

28 參閱「電資法」第 4 條。

健康檢查、犯罪前科、聯絡方式等個人資料，以補充說明個人資料之 性質，其主要精神在於增加敏感性個人資料之例示，雖然在一般個人 資料及敏感性個人資料的區分上仍有所不足，有待未來修法解決，但 此舉仍可加強政府及醫療等機構對於各種敏感紀錄保護之準備。

本法若依 OECD 及 APEC 之定義，含例示之可識別個人之資料以及 概括認定之其他足資識別該個人之資料，可分析如表 2-1-2：

表 2-1-2

依法例示

姓名、出生年月日、身分證字號、特徵、

指紋、婚姻、家庭、教育、職業、健康、

病歷、財務情況、社會活動、護照號碼、

醫療、基因、性生活、健康檢查、犯罪前 科、聯絡方式等

個 人 資 料

概括認定

宗教信仰、政黨、嗜好、住所、學經歷、

升遷、獎懲紀錄、線上個人帳號、電子郵 件地址等

資料來源：研究者整理

關於可識別個人之個別資料，在於將所有與自然人產生關係之特 定基本個人資料，例如上述之姓名、出生年月日等涵蓋其中。而其他 足資識別該個人之資料，依立法旨意，在於防止例示法有所疏漏

。以 現今高度資訊化社會，如本法未列舉的線上登入個人帳號，透過資料

29 「電資法」修正草案因保障之法益為人格權，惟個人資料種類繁多，第 3 條第 1 款關於個人資 料之定義，除原條文之個人資料外，另加入護照號碼、醫療、基因、性生活、健康檢查、犯罪前科、

聯絡方式等個人資料，以補充說明個人資料之性質，參閱

http://www.moj.gov.tw/public/Attachment/62228524321.pdf ，〈電腦處理個人資料保護法修正草案條 文對照表〉，法務部全球資訊網，檢索日期：2007 年 10 月 12 日。

30 參閱 http://www.moj.gov.tw/lp.asp?ctNode=13710&CtUnit=805&BaseDSD=7&mp=001 ，《電腦處 理個人資料保護法問答手冊》，法務部全球資訊網，檢索日期：2007 年 11 月 10 日；另個人資料之 類別及細項部分， 1996 年由法務部會同目的事業主管機關公布〈電腦處理個人資料保護法之個人 資料類別〉，請參閱 http://www.land.moi.gov.tw/chhtml/fileclick.asp?onid=674，內政部地政司全球資 訊網，檢索日期：2007 年 11 月 10 日；惟需注意概括認定者需籍由對照而能識別特定人者屬之。

31 同註 29，社會態樣日趨複雜，有些資料雖未直接指名道姓，但一經揭露仍足以識別為某一特定 人，對個人隱私仍會造成侵害。

庫搜尋，使用識別碼、帳號、身分證字號等主鍵 (Primary Key)

即可 呼叫其他相關資料(如地址、電話或線上活動資訊)，來確認某特定之 個人；或透過資料探勘技術(Data Mining)

運用相關屬性資料，將分散 的個人片段生活紀錄，加以整合、辨識、分類來進行資料剖繪

(Profiling)，以獲致某一屬性未知之資料

，如運用上網位址、上網時 間及網站嗜好等，便足以識別特定之個人。而上述作法未列舉之資料 片段，亦可能造成個人資料之危害，亦應歸類為足資識別該個人資料 而加以保護。

肆、個人資料保護之原則

一、國際規範之資料保護原則

國際間規範的個人資料保護原則，例如完整、正確、直接、公開、

必要、責任與目的拘束原則等，一般受到各國訂定資料保護法的引用 及尊重；而隨電子商務之發達，個人資料之跨國性傳遞可以促進社會 發展及便利商務之推展，惟各國有關隱私權保障及個人資料適用之法 令時有差異，可能影響資訊自由流通。故國際組織所規範的個人資料 保護原則，便可以規範會員國之間資料流通的準則，一方面避免侵害 資訊隱私權，一方面消除會員國之間的障礙。

我國因國際情勢使然，或受政治環境影響，未必能參與許多下列 各種國際組織或簽訂相關協定，但在我國個人資料保護法制訂定之引

32 主鍵 (Primary Key)，又稱為主索引，是用來識別資料表的唯一值。每個主鍵在資料表中，都是 獨一無二的。資料庫管理系統可以藉由這些欄位，識別資料表內的每一筆記錄，並提供資料索引。

主鍵可以直接使用一組不重複的資料。參閱 http://www.ithome.com.tw/itadm/article.php?c=46156，〈關 聯式資料庫系統的主要成分〉，ITHOME，檢索日期：2007 年 11 月 10 日。

33 資料探勘(Data Mining)，又稱資料採礦，是指從大量資料中擷取或挖掘出有知識，以便支援決策 分析之用；廣義而言，資料探勘指的是從儲存於資料庫、資料倉儲或其他資料貯藏所中，發掘出使 用者感興趣的知識之過程，或者是針對使用者所提出的問題，自儲存大量資料的資料庫中萃取出有 用資訊、資料樣式與趨勢的過程，參閱吳寂娟，《從隱私權看資料探勘技術之應用》，佛光人文社會 學院資訊學研究所碩士論文，未出版．2001 年，頁 7。

34 參閱吳兆琰，〈論政府資料探勘應用之個人資料保護爭議〉，《科技法律透析》，第 19 卷，第 11 期，2007 年，頁 22。

用、各國經貿上的合作等仍受規範，特此說明。

(一)、經濟合作發展組織(OECD)

經濟合作發展組織於 1980 年通過「管理保護個人隱私權及跨國界 流通個人資料指導綱領」 ，提出國內及國際間適用之基本原則，其中第 2 章規定國內個人資料保護之 8 大原則，後來為各國修訂個人資料保護 法制之重要依據原則，說明如下

：

1. 限制蒐集原則(Collection Limitation Priciple)：有關個人資料之 蒐集，原則上應加以限制；資料之蒐集應適法、並應依公正之 手段為之，必要時，並通知當事人或得其同意後，始得為之。

2. 正確性原則(Data Quality Principle)：個人資料於特定目的之利 用範圍內應力求正確、完整及最新之狀態。

3. 目的明確化原則(Purpose Specification Principle)：個人資料於 蒐集時，目的應明確化；其後之利用亦不得牴觸最初蒐集之目 的；於目的變更時亦應予以明確化。

4. 限制利用原則(Use Limitation Principle)：個人資料之利用，除 法律另有規定或當事人同意外，不得為特定目的以外之利用。

5. 安全保護原則(Security Safeguards Principle)：個人資料為防止 遺失、不法之接觸、破壞、使用、變更或公開之危險，應採取 合理之安全保護措施。

6. 政策公開原則(Openness Principle)：對於個人資料蒐集、自動 機械化、處理及有關政策之制定，應對一般人公開之。

7. 個人參與原則(Individual Participation Principle)：資料之本人有 權對他人持有自己之資料，行使一定程序之控制，包括確認自

35 參閱許文義，同註 14，頁 162。

己之資料是否被保有、資料本人於合理期間、合理方法了解、

知悉自己之資料、可對自己資料提出異議，如異議有理由時，

應將其資料刪除、變更、完全化與補正。

8. 責任原則(Accountability Principle)：資料管理人應遵守前述原 則之責任。

此外，為因應網路的發展及對個人資料保護的衝擊，另於 1998 年 部長會議通過「全球網路隱私權保護宣言」

重申 OECD 個人資料保護 綱領。

(二)、亞太經濟合作會議(APEC)

亞太經濟合作會議於 2004 年 11 月部長會議通過 APEC「隱私權保 護綱領」，並於第 3 章列出 9 項原則

，包括：

1. 預防損害原則(Preventing Harm)：基於個人資料有可能遭到他 人濫用而造成損害，應有適當的保護措施，其次，對於個人資 料之蒐集、利用和傳遞所生的損害，應有適切的損害填補機制。

2. 告知原則(Notice)：資料蒐集者對其所蒐集、持有之個人資料 應告知當事人資料管理者身分、蒐集之目的、種類及用途等必 要事項，並知悉其隱私權政策。

3. 蒐集限制原則(Collection Limitation)：個人資料之蒐集應限於 與蒐集目的相關之範圍，並依合法或正當方法為之。

4. 個人資訊之利用原則(Uses of Personal Information)：個人資料 之利用僅限於與蒐集目的一致或相關的範圍內，未經當事人或 法律明文規定者，該資料不得作其他利用。

36 See http://www.oecd.org/dataoecd/39/13/1840065.pdf , Ministerial Declaration on the Protection of privacy on Global Network, accessed on 2007/11/10.

37 參閱 http://www.moj.gov.tw/public/Attachment/7199515432.pdf，〈APEC 隱私保護綱領中英文對 照〉，法務部全球資訊網，檢索日期：2007 年 11 月 13 日。

5. 當事人自主原則(Choice)：在情況允許下，個人資料管理者應 提供當事人對於其個人資料之蒐集、利用和揭露進行選擇的機 制，資料管理者應尊重當事人之選擇。

6. 個人資訊完整性原則(Integrity of Personal Information)：個人資 料應正確、完整並應依利用目的為必要之更新。

7. 安全管理原則(Security Safeguards)：資料管理者應採取必要之 安全維護措施，防正他人未經授權不當地截取、利用、修改或 揭露個人資料以及其他濫用個人資料之行為。

8. 查閱和更正原則(Access and Correction)：當事人有權查詢或取 的其個人資料，若發現有錯誤或欠缺者，得請求更正、補充或 刪除該筆資料。

9. 責任原則(Accountability)：個人資料管理者應要負責確保上述 原則之實踐，於傳遞個人資料於第三者時(國內、外均同)，應 確保該第三者會採取和此一隱私保護綱領一致的措施以保護 個人資訊隱私之安全。

由於我國為 APEC 隱私權保護綱領簽署國之一，但現行「電資法」

尚無法完全達到上述原則，如我國只對金融、證券、保險等八大行業 加以規範（後逐年加入法務部指定公告事業團體計八個行業） ，另外綱 領要求「人工資料」也須納入法制規範我國亦無，可能對民眾個人資 料隱私造成傷害，仍待新修正之個人資料保護法將前述不符綱領要求 的部分加以解決，例如將行業別的規範改為「行為規範」，也就是不論 業別，只要建檔個人資料都受規範，人工資料、告知義務也均納入修 正範圍

。

38 參閱 http://www.libertytimes.com.tw/2005/new/feb/7/today-so11.htm，〈三大面向，保護不足〉，自 由新聞網，檢索日期：2007 年 11 月 12 日。

二、我國規範之資料保護原則

「電資法」之保護原則，大部分參考 OECD 第 2 章規定國內個人資 料保護之 8 大原則，相關條文及內容分述如下：

(一)限制蒐集原則

公務機關或非公務機關(以下簡稱資訊管理者)對於個人資料之蒐 集，基本尊重當事人之人格權，原則上應向當事人蒐集之。故於本法 第 7 條第 2 款及第 18 條第 1 款規定「經當事人書面同意者」為資訊管 理者進行個人資料蒐集或電腦處理要件之一。而依本法第 6 條規定「應 尊重當事人之權益」、「依誠實及信用方法為之」與「不得逾越特定目 的之必要範圍」限縮資訊管理者蒐集個人資料的範圍及方法，亦屬本 原則之展現。

(二)正確性原則

為維護資訊管理者對於個人資料之正確性，依本法第 4 條、第 13 條規定，當事人就其個人資料部分得以行使查詢及請求閱覽、請求製 給複製本、請求停止電腦處理及利用、請求刪除之權利，上述原則於 第 26 條規定，非公務機關準用之。本原則在於強調資訊管理者對於控 制之個人資料應力求其確實、完整及最新的狀態。

(三)目的明確化原則

資訊管理者於蒐集資訊時，其目的應予以明確化，爾後利用個人 資訊時亦應與蒐集之時符合，若目的有所變更後，亦當如是，不應為 特定目的以外之利用。以公務機關而言，依本法第 7 條規定，非有特 定目的，並符合於法令規定職掌必要範圍內者、經當事人書面同意者、

對當事人權益無侵害之虞等情形之一者，不得為之。以非公務機關而

言，依本法第 18 條、第 23 條之規定，非有特定目的，並符合經當事

人書面同意者、與當事人有契約或類似契約之關係而對當事人權益無

侵害之虞者、已公開之資料且無害於當事人之重大利益者、為學術研 究而有必要且無害於當事人之重大利益者、依第 3 條第 7 款第 2 目有 關法規及其他法律有特別規定者等情形之一者，不得為之。本原則在 於強調蒐集個人資料應以特定目的為要件，並需經當事人同意，並在 利用、處理時需有目的一致性。

(四)限制利用原則

資料管理者對於個人資料之利用，若欲作非特定目的之利用，應 以法律規定的範圍內為限。以公務機關而言，本法第 8 條規定，如法 令明文規定者、有正當理由而僅供內部使用者、為維護國家安全者、

為增進公共利益者、為免除當事人之生命、身體、自由或財產上之急 迫危險者、為防止他人權益之重大危害而有必要者、為學術研究而有 必要且無害於當事人之重大利益者、有利於當事人權益者、當事人書 面同意者，得為特定目的外之利用。非公務機關者，依本法第 23 條之 規定，為增進公共利益者、為免除當事人之生命、身體、自由或財產 上之急迫危險者、為防止他人權益之重大危害而有必要者、當事人書 面同意者，得為特定目的外之利用。本原則在於強調任何非有特定目 的之利用，應以法律明確規定。

(五)安全保護原則

資料管理者應盡良善管理人之責。依本法第 17 條之規定，公務機 關保有個人資料檔案者，應指定專人依相關法令辦理安全維護事項，

防止個人資料被竊取、竄改、毀損、滅失、販賣或洩漏；非公務機關

準用本條之規定。至於詳細的「安全維護事項」 ，於本法施行細則第 34

條規定公務機關應訂定電腦處理個人資料安全維護法令，其內容包括

資料安全、資料稽核、設備管理及其他安全維護等事項。

(六)政策公開原則

依本法第 10 條規定，公務機關保有個人資料檔案者，應在政府公 報或以其他適當方式公告個人資料檔案名稱、保有機關名稱、個人資 料檔案利用機關名稱、個人資料檔案保有之依據及特定目的、個人資 料之類別、個人資料之範圍、個人資料之蒐集方法、個人資料通常傳 遞之處所及收受者、受理查詢、更正或閱覽等申請之機關名稱及地址。

本原則旨在強調民主法治國家中之資訊公開原則，以避免政府濫權專 擅，並賦予人民知的權利，並能有效利用行政資料。而本法第 21 條對 於非公務機關亦同類似之規定。

(七)個人參與原則

此為資料保護法制之基本權利，所有個人資料之蒐集、利用與處 理需經當事人同意始得為之。依本法第 7 條第 2 款規定，公務機關對 個人資料之蒐集或電腦處理，需當事人書面同意；第 8 條第 9 款公務 機關對個人資料之利用，應於法令職掌必要範圍內為之，並與蒐集之 特定目的相符，但當事人同意者，得為特定目的外之使用；第 18 條第 1 款、第 23 條第 4 款對於非公務機關亦有相同規定，需當事人書面同 意，即為個人參與的基本方式。另外，對於公務機關所控管的個人資 料，在本法第 13 條規定，當事人就其個人資料部分得以行使查詢及請 求閱覽、請求製給複製本、請求停止電腦處理及利用、請求刪除之權 利，非公務機關亦準用之。

(八)責任原則

依本法第 7 條及第 8 條，公務機關對個人資料的蒐集、電腦處理 或利用，均應於法令職掌必要範圍內為之，若有公務員於執行上述行 為之時，違法侵害人民權利，除本法第 27 條、28 條、29 條之規定外，

應負賠償責任，受侵害之當事人得依國家賠償法程序請求之。若為非

公務機關有不法侵害個人權益者，除本法第 30 條規定外，應依民法採 民事途徑求償之。

綜上所述，我國「電資法」個人資料保護之原則基本上乃承接國 際間普世認定的原則加以運用，除與國際接軌外，亦是為社會帶來個 人資料保護新知的進步立法。此外，本文乃探討中小學之個人資料保 護，在「電資法」下， 公立中小學部分視為公務機關

，除了「電資 法」規範之原則外，對於公法上之一般法律原則，如明確原則、比例 原則、期待可能性原則、國家行政效能要求原則、公益原則等，與本 法之原則內涵有相當密切之關係，行政機關自有遵循與適用之必要與 義務，對於公務機關身為資料管理者之行政行為或行政處分，應本於

「依法行政」 ，以落實本法規定之各項原則內涵，原則之間或許有所競 合，但基於特定法規範之原則不得牴觸一般法律原則，以達到法治國 原則之要求

。

伍、個人資料保護之限制

個人資料保護並非無限上綱，致使所有上述定義之個人資料皆無 法予以蒐集或利用，基於以下因素而有部分限制：

一、保障自然人權利為前提

個人資料作為受保護之客體，若以字面上觀之，很容易落入僅僅 保護「資料」或「資訊」的觀點，但資料或資訊若沒有與個人關連或 可得關連，蓋此一資料在權利上便無保障的意義，故個人資料保護最 終的目的還是在於保障權利的主體「人」而不是「資料」 。若依我國「電 資法」或日本「個人情報保護法」觀之，應為保障「自然人」之概念。

39 教育部於 1996 年進行「執行電腦處理個人資料保護事項協調連繫會議」時提案各級公立學校是 否應歸類為公務機關，而勿須向教育部申請登記，其理由為各級公立學校從事教學活動，係屬國家 公權力行使之一環等，會議結論同意教育部研析意見，而對於私立學校則在 1997 年訂有「私立學 校及學術研究機構電腦處理個人資料管理辦法」以供遵循。參閱《電腦處理個人資料保護法相關法 規彙編》，台北：法務部，2000 年。頁 32-33。

40 參閱許文義，同註 14，頁 159-160。

自然人，乃本諸人的尊嚴及價值，具有倫理性，體現以人為本位的私 法理念

；故依立法旨意，凡涉及自然人之個人資料，依據人性尊嚴及 一般人格權之保障，應納入保護之範圍。

此外，若以具名與匿名之個人資料為對象來探討，就層次而言，

前者之保護需求較高，後者則需視得知該匿名者之代價而定，但一般 而言，匿名者受保護之需求相較而言低，尤以匿名權在受保障之前提 下更是如此

，例如資訊因其匿名性，如經統計調查後之數據資料而 未能聯結特定人，即喪失可資識別個人之要項。

承上所述，個人資料保護之主體為人，客體為實體資料或抽象之 資訊，前提是為保障自然人權利而生，若與人無關之資料或該特定人 無法確認時自始即缺乏保護之需求性

。而自然人有無具名之保護需求 不同，具名者較匿名者為高，尤其是在匿名權受保障之前提下，具名 者之個人資料應受必要之保護。

二、需注意法益競合問題

從世界組織相關規範或各國所制定之相關國內法來看，其所欲保 障之個人資料範圍相當寬廣，然而若與其他法益產生競合的問題時，

究竟何者為重應受到討論。以國內修正之「電資法」草案遲未通過的 因素來看，其一即在於新法規範適用所有行業，媒體、民意代表亦不 例外。假若立委為揭弊之需，將含有個人資料之事實訴諸媒體之前，

要先告知涉弊當事人為新法所規範，則民意代表之監督權及民眾「知 的權利」與個人資料保護法益必然產生競合

。

41 參閱王澤鑑，《民法概要》，台北：三民，2002 年，頁 45。

42 參閱大法官余雪明釋字第 603 號部分協同部分不同意見書部分。

43 參閱林安邦，〈德國「資訊自決權」之概念在我國法律上之應用〉，《公民訓育學報》，第 12 輯，

2002 年，頁 114。

44 藍錄陣營對於是否新法是否加入「民代基於職責不在此限」之爭點有激烈討論，參閱

http://www.cna.com.tw/CNA/china/SearchDetail.aspx?strCatL=CN&strNewsID=200712140122&strType=Real

至於面對上述法益上之衝突，學者指出德國聯邦憲法法院提出「法 益衡量原則」以及「比例原則」作為解決之道

。舉例來說，並非所有 涉及個人資訊蒐集利用都將違反個人保護自身資料之權益，以其個人 與社會之關聯，作為社會之一員，必然涉及外在世界而產生關係，若 對於蒐集個人資料時會產生更重要之公眾利益時，一般而言並不侵害 個人隱私

。

三、需符合法律保留原則

所謂法律保留原則，為政府如果要對人民之生活領域進行限制 時，須有人民之同意，而同意之依據即為具民意基礎之代表所制定的 法律

，政府對於個人資料若有所限制亦需符合上述原則。如大法官釋 字第 603 號解釋文中提及憲法對個人資訊隱私權之保護並非絕對，但 基於公益之必要，在不違反「憲法」第 23 條之範圍，得以法律明確規 定強制取得所必要之個人資訊。至於該法律是否符合「憲法」第 23 條 之規定，則應就國家蒐集、利用、揭露個人資訊所能獲得之公益與對 資訊隱私之主體所構成之侵害，通盤衡酌考量，並由以法律明確制定

「方能使人民事先知悉其個人資料所以被蒐集之目的，及國家將如何 使用所得資訊，並進而確認主管機關係以合乎法定蒐集目的之方式，

正當使用人民之個人資訊」

。

我國「電資法」即有明確條文說明以符合法律保留原則，例如「電 資法」第 8 條規定公務機關對於個人資料之利用應在法令職掌範圍內 為之並與蒐集之特定目的相符，但若有「法令明文規定者、維護國家 安全或增進公共利益者、為免除當事人的生命、身體、自由或財產上

Time ，〈綠委指控不挺個資修法 藍營：綠營怕揭弊〉，中央社，檢索日期：2008 年 7 月 16 日。

45 參閱林安邦，同註 43，頁 115。

46 參閱林安邦，同註 43，頁 114。

47 參閱李惠宗，《教育行政法要義》，台北：元照，2004 年，頁 62。

48 參閱大法官釋字第 603 號解釋文。

之危險者、為防止他人權益之重大危害者、為學術研究而有必要且無 害於當事人之重大利益者、有利於當事人權益者、當事人書面同意者」

為特定目的使用之例外，可對個人資料保護作出限制；對於非公務機 關「電資法」第 18 條亦有規定若為「增進公共利益者、免除當事人的 生命、身體、自由或財產上之危險者、為防止他人權益之重大危害者、

當事人書面同意者」得為特定目的以外之使用。對於法律保留原則在 個人資料保護之運用，會有限制強度之爭議

，但一般認為，基於人格 權不得侵犯的前提下，且個人資料保護為影響人民基本權利的重要部 分，應要求有國會決定的法律依據而有「國會保留事項層次」以上之 規範強度

，以確保個人資料不會在「老大哥」

的濫權及商業利益考 量下遭到犧牲。

49 我國個資法修法過程中，對於行政機關可否任意發動檢查權為修法遲遲未過的因素之一，參閱 http://www.cna.com.tw/CNA/china/SearchDetail.aspx?strCatL=CN&strNewsID=200712160053&strType=Real Time ，〈個資法修正案爭議 藍綠陣營再叫陣表立場〉，中央社，檢索日期：2008 年 7 月 16 日。

50 參閱許育典，〈法治國與教育行政〉，台北：高等教育，2002 年，頁 93-94。

51 老大哥(Big Brother)一詞為小說家喬治．歐威爾（George Orwell, 1903-1950）反烏托邦小說《1984》

情節中隱喻威權政府運用無所不在的監控技術來監視人民一舉一動的情境，參閱李尚仁，〈老大哥 正在看著你-監視攝影機的使用與濫用〉，《科學發展》，第 353 期，2002 年，頁 75-77。

第二節 個人資料保護之資訊自決權基礎

資訊管理者在進行資料蒐集、處理及利用會侵犯到許多憲法所保 障之基本權利，涉及資訊自決權、隱私權、財產權保障等

，茲就學生 資料保護具密切相關者探討如下：

壹、資訊自決權之源起

資訊自決權或稱為資訊自主權，乃源於電腦的發明。吾人因電腦 進行資料處理的過程易將個人的意思排除在外，致使個人對於自己資 料之正確性及取用喪失自主權，且電子資料傳遞、整合的過程中易將 某個人塑造獨特的「資料形象」，若與本人真實面貌不同，對於人格會 造成重大之傷害

，故根據人性尊嚴及一般人格權之保障，個人有權決 定是否將資料交付或供他人利用之權乃稱為「資訊自決權」。

資訊自決權為德國法律之用詞，其概念早在 1969 年德國聯邦法院 對人口調查決議乙案中即已提出，該案肯認並非所有國家調查個人日 常生活之資訊即會侵害人性尊嚴並觸及個人「最內在生命領域之自主 權」

。其後在 1971 年資訊自決權一詞出現在德國內政部委託學者研 究「關於個人或團體形象之資訊自決權」

之中，另外在權利立法上，

德國於 1977 年受美國隱私權概念之影響，制定「聯邦個人資料保護 法」 ，其立法意旨乃為確保資料處理過程中人格權不受侵害，根據比例 原則，確立保護公共利益所為對於個人資訊自決權之限制，不可超過 保護公共利益所不可或缺的範圍；且立法者採取比以前更多的組織及 程序上的措施來預防個人資料自動化資料處理後所遭受之侵害。本法

52 參閱許文義，同註 14，頁 39；李震山，《多元、寬容與人權保障-以憲法未列舉權之保障為中心》，

台北：元照，2005 年，頁 188。

53 參閱許文義，同註 14，頁 49。

54 參閱林安邦，同註 43，頁 111-112。

55 參閱許文義，同註 14，頁 50。

隨後成為大陸法系中個人資料保護之立法典範，而資訊自決權的觀念 亦就此確立；而資訊自決權一詞開始受廣泛之應用，乃於 1983 年聯邦 憲法法院於「人口普查法」案判決後，其後資訊自決權發展迄今已然 成為基本權利之一，並類型化為行政行為形式的一種

，並成為 1995 年歐盟個人資訊保護指令之重要參考。

承上所述，資訊自決權之概念乃近年發展而成，而其發展之基礎 則為人性尊嚴與人格權的保障。根據德國聯邦憲法法院「人口普查法」

案判決首段即提到「在現代資料處理之條件下，應保護每個人之個人 資料，免遭無限制之蒐集、儲存、運用、傳遞，此係屬基本法第 2 條 第 1 項及基本法第 1 條第 1 項保護範圍。該基本人權保障每個人，原 則上有權自行決定其個人資料之交付與使用。」判決引用德國基本法 第 1 條第 1 項規定「人之尊嚴不可侵犯，尊重及保護此項尊嚴為所有 國家機關之義務。」 ，肯認清楚說明人性尊嚴乃資訊自決權之上位概念

57

，換句話說，資訊自決權為德國憲法第 1 條所導出，實與人性尊嚴之 保障密不可分。

所謂人性尊嚴，即是人的尊嚴或指人格尊嚴。無論是在日本、德 國傳統的通說與判例，若以人格主義為出發點來描述或解釋人性尊 嚴，大致上皆可導出「人性尊嚴」就是「人格尊嚴」，而日本學者蘆部 信喜謂「人性尊嚴」及國際人權宣言前言的「人類人格的固有尊嚴」

乃同一旨趣

，故有將「人性尊嚴」與「人格尊嚴」或「人格之尊重」

相提並論

。

56 參閱李震山，同註 52，頁 199。

57 參閱蕭文生譯，〈關於「一九八三年人口普查法」之判決〉，《西德聯邦憲法法院裁判選輯（一）》，

台北：司法週刊雜誌社，1995 年，頁 288-290。

58 參閱林輝雄，《人性尊嚴與自由民主憲法秩序關係之研究》，國立中正大學法律學研究所碩士論 文，未出版，2001 年，頁 46。

59 人性尊嚴與日本憲法第十三條「所有國民，均作為個人而受尊重。國民對於生命、自由及追求 幸福之權利，以不違反公共福祉為限，於立法及其他國政上，須受最大之尊重。」之「個人尊嚴」